Kaspersky hat Schadsoftware analysiert, die offenbar erstmals gezielt für Head-Units in Autos entwickelt wurde. Betroffen ist ein Android-basiertes Nachrüst-Infotainmentsystem des chinesischen Anbieters DoFun, das in China und weiteren Ländern des asiatisch-pazifischen Raums breit im Einsatz ist.
Der Einstiegspunkt war nach Darstellung der Forscher eine Schwachstelle in dem System, das Software-Aktualisierungen verarbeitet. Über diese Lücke konnten die Angreifer Schadcode direkt an die Head-Units ausliefern. DoFun teilte mit, die Schwachstelle nach einer entsprechenden Benachrichtigung beseitigt zu haben.
Konkret kompromittierten die Täter den Verteilkanal für Updates und schoben darüber unauffällige schädliche Android-Anwendungen nach. Diese übernahmen unterschiedliche Rollen: Dropper und Loader zum Nachladen weiterer Bestandteile, ein Clicker für Werbebetrug sowie ein Loader für ein Reverse-Proxy-Modul.
Die Schadsoftware versteht neun Befehle. Dazu gehören das Einblenden von Werbung, Anzeigenbetrug über die Clicker-Komponente und das Herunterladen zusätzlicher Module. In der Praxis beobachtete Kaspersky allerdings ausschließlich Befehle zum Nachladen des Reverse-Proxy-Moduls. Das legt nahe, dass es den Betreibern vor allem darum geht, die Geräte in ein Proxy-Botnetz einzugliedern.
Bei der weiteren Untersuchung stieß Kaspersky auf deutliche Hinweise, die für die MoYu Group als Urheber sprechen. Die Gruppe zählt zu mehreren Akteuren, die bereits früher mit Entwicklung und Betrieb des BadBox-Botnetzes verknüpft wurden.
BadBox ist mindestens seit 2023 aktiv. Die Betreiber nutzen gekaperte Android-Geräte für Betrug und weitere illegale Vorhaben. Strafverfolgungsbehörden haben versucht, das Netzwerk zu zerschlagen, doch die Bedrohung ist exponentiell gewachsen. Google reichte im vergangenen Jahr Klage gegen die Betreiber von BadBox 2.0 ein und warnte, das Botnetz habe mehr als zehn Millionen Android-Geräte erfasst — überwiegend TV-Boxen.
Bislang gelangte BadBox-Schadcode meist als Vorinstallation auf günstige Hardware. Die Angriffe auf Fahrzeug-Infotainmentsysteme belegen dagegen, dass die Betreiber ihre Auslieferungswege und ihr Zielspektrum erweitern.